@orkastery/cli 0.5.0 → 0.5.3

package/dist/util.js

@@ -34,8 +34,12 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.GITIGNORE_DA_MAQUINA = exports.COMMIT_DESCONHECIDO = void 0;
 exports.exec = exec;
+exports.shaCurto = shaCurto;
+exports.branchDoHead = branchDoHead;
 exports.noPath = noPath;
+exports.ignorarPastaNoGit = ignorarPastaNoGit;
 exports.subirAte = subirAte;
 exports.gravar = gravar;
 exports.lerJson = lerJson;
@@ -66,10 +70,73 @@ function exec(cmd, args, cwd, timeoutMs = 120000, env = process.env) {
         ...(r.error ? { error: r.error.code ?? r.error.message } : {}),
     };
 }
-/** O binario esta no PATH? */
-function noPath(bin) {
-    const r = exec('which', [bin]);
-    return r.ok ? r.stdout.trim() : null;
+/** O commit quando o repositorio ainda nao tem commit (base da thread, HEAD do verify). */
+exports.COMMIT_DESCONHECIDO = 'desconhecido';
+/**
+ * Sha para exibir: 8 caracteres quando o valor e um sha hexadecimal (SHA-1 ou SHA-256); qualquer
+ * outro valor, como o marcador de repositorio sem commit, sai inteiro (o ensaio da 0.5.0 viu "desconhe").
+ */
+function shaCurto(valor) {
+    return /^[0-9a-f]{7,64}$/i.test(valor) ? valor.slice(0, 8) : valor;
+}
+/** A branch para onde o HEAD aponta, com ou sem commit; `null` com o HEAD destacado. */
+function branchDoHead(dir) {
+    const r = exec('git', ['symbolic-ref', '--quiet', '--short', 'HEAD'], dir);
+    return r.ok && r.stdout.trim() ? r.stdout.trim() : null;
+}
+/**
+ * O binario esta no PATH? A busca e do proprio processo, como o `which` fazia: o primeiro arquivo
+ * regular executavel na ordem do PATH. Registro R3 do ensaio da 0.5.0: sem o binario `which` na
+ * maquina, o doctor dizia que o `git` e o `claude` faltavam. Entrada vazia do PATH e pulada (nao vira
+ * o diretorio atual), e nome com barra e conferido direto.
+ */
+function noPath(bin, env = process.env) {
+    const executavel = (alvo) => {
+        try {
+            if (!fs.statSync(alvo).isFile())
+                return false;
+            fs.accessSync(alvo, fs.constants.X_OK);
+            return true;
+        }
+        catch {
+            return false;
+        }
+    };
+    if (bin.includes('/'))
+        return executavel(bin) ? bin : null;
+    for (const dir of (env.PATH ?? '').split(path.delimiter)) {
+        if (dir && executavel(path.join(dir, bin)))
+            return path.join(dir, bin);
+    }
+    return null;
+}
+/** O `.gitignore` que o ork poe na pasta que e da maquina (fatia 2 do ensaio da 0.5.0, P3). */
+exports.GITIGNORE_DA_MAQUINA = '# Criado pelo ork: esta pasta é da máquina, não do repositório.\n*\n';
+/**
+ * Fatia 2 do ensaio da 0.5.0 (P3): a pasta que o ork cria para a maquina (o estado em `.orkastery/`
+ * e a pasta das worktrees) fica fora do git por um `.gitignore` proprio com `*`; o `.gitignore` do
+ * usuario nao e tocado. Nunca sobrescreve um existente, so vale para pasta dentro do repositorio e
+ * nao cria quando o repositorio ja rastreia algo nela: o projeto que versiona o proprio estado segue
+ * versionando. Devolve se criou.
+ */
+function ignorarPastaNoGit(dir, raizDoRepo) {
+    const relativo = path.relative(raizDoRepo, dir);
+    if (!relativo || relativo.startsWith('..') || path.isAbsolute(relativo))
+        return false;
+    const arquivo = path.join(dir, '.gitignore');
+    if (fs.existsSync(arquivo))
+        return false;
+    const rastreados = exec('git', ['ls-files', '-z', '--', relativo], raizDoRepo);
+    if (rastreados.ok && rastreados.stdout.length > 0)
+        return false;
+    fs.mkdirSync(dir, { recursive: true });
+    try {
+        fs.writeFileSync(arquivo, exports.GITIGNORE_DA_MAQUINA, { flag: 'wx' });
+    }
+    catch {
+        return false;
+    }
+    return true;
 }
 /** Sobe a arvore de diretorios procurando um arquivo. Retorna o diretorio que o contem. */
 function subirAte(dirInicial, arquivo) {

package/dist/verify.js

@@ -183,7 +183,7 @@ function cwdDaThread(raiz, thread) {
 /** HEAD real do diretorio de trabalho, carimbado em toda verificacao. */
 function commitReal(cwd) {
     const r = (0, util_1.exec)('git', ['rev-parse', 'HEAD'], cwd);
-    return r.ok ? r.stdout.trim() : 'desconhecido';
+    return r.ok ? r.stdout.trim() : util_1.COMMIT_DESCONHECIDO;
 }
 /** O pedido de conducao de uma verificacao, com o prazo derivado dos comandos que ela vai rodar (D3). */
 function pedidoDoVerify(carregado, threadId, operacao, comandos, conducao) {
@@ -456,7 +456,7 @@ function textoDoVerify(r) {
     linhas.push(`ork verify da thread ${r.thread}`);
     linhas.push(`  HEAD real   ${r.commit}`);
     linhas.push(`  diretorio   ${r.cwd}`);
-    linhas.push(`  baseline    ${r.baseline ? `${r.baseline.commit.slice(0, 8)} de ${(0, horario_1.formatarDataHoraRotulada)(r.baseline.gravadaEm)}` : '(nao gravada: falha nao pode ser chamada de regressao)'}`);
+    linhas.push(`  baseline    ${r.baseline ? `${(0, util_1.shaCurto)(r.baseline.commit)} de ${(0, horario_1.formatarDataHoraRotulada)(r.baseline.gravadaEm)}` : '(nao gravada: falha nao pode ser chamada de regressao)'}`);
     if (r.preparo) {
         const p = r.preparo;
         linhas.push(`  preparo     ${p.resultado.ok ? 'ok' : situacaoDoComando(p.resultado)} em ` +

package/dist/worktree.js

@@ -64,9 +64,12 @@ const leases_1 = require("./leases");
 const thread_1 = require("./thread");
 const util_1 = require("./util");
 const estado_thread_1 = require("./estado-thread");
-/** Diretorio canonico da worktree de uma thread, resolvido pelo `ork`. */
+/**
+ * Diretorio canonico da worktree de uma thread, resolvido pelo `ork` na arvore principal: o mesmo que a criacao usa,
+ * tambem quando o comando roda de dentro de outra worktree (P4 do ensaio da 0.5.0).
+ */
 function dirDaWorktree(carregado, id) {
-    return path.resolve(carregado.raiz, carregado.manifesto.worktree.dir, id);
+    return (0, thread_1.pastaDaWorktree)(carregado, id);
 }
 /** Branch canonica da worktree de uma thread. */
 function branchDaWorktree(thread) {
@@ -196,6 +199,11 @@ function garantirWorktree(carregado, id) {
  * commit que o git nao tem mais nao entra. `proprios` conta o que o HEAD tem fora delas e da base
  * atual (`null` sem nenhuma base conhecida); `pontoDePartida` e a base conhecida mais nova que e
  * ancestral do HEAD; `semAncestral` diz que HEAD e base atual nao tem historia em comum.
+ *
+ * RM-037 (fatia 3, defeito 3): `baseReescrita` diz que o ponto de partida nao esta mais na base atual.
+ * A base so anda para a frente; quando o ponto em que a thread saiu dela deixa de ser ancestral, a base
+ * foi reescrita, mesmo com ancestral comum mais antigo (force-push que tirou commits). Nesse caso o
+ * `git rebase <base>` reaplicaria, junto com os commits da thread, os `sairamDaBase` que a reescrita tirou.
  */
 function historiaPropria(raiz, thread, dir, shaBase) {
     const git = (...args) => (0, util_1.exec)('git', args, dir);
@@ -212,11 +220,13 @@ function historiaPropria(raiz, thread, dir, shaBase) {
     const conhecidas = [...new Set([pontoDaCriacao, ...sincronizadas])].filter(valido);
     const semAncestral = git('merge-base', 'HEAD', shaBase).code === 1;
     const pontoDePartida = [...conhecidas].reverse().find(sha => git('merge-base', '--is-ancestor', sha, 'HEAD').ok) ?? null;
+    const baseReescrita = pontoDePartida !== null && !git('merge-base', '--is-ancestor', pontoDePartida, shaBase).ok;
+    const numero = (r) => r.ok && /^\d+$/.test(r.stdout.trim()) ? Number(r.stdout.trim()) : null;
+    const sairamDaBase = baseReescrita ? numero(git('rev-list', '--count', pontoDePartida, '--not', shaBase)) : null;
     if (!conhecidas.length)
-        return { proprios: null, pontoDePartida, semAncestral };
-    const contagem = git('rev-list', '--count', 'HEAD', '--not', ...conhecidas, shaBase);
-    const proprios = contagem.ok && /^\d+$/.test(contagem.stdout.trim()) ? Number(contagem.stdout.trim()) : null;
-    return { proprios, pontoDePartida, semAncestral };
+        return { proprios: null, pontoDePartida, semAncestral, baseReescrita, sairamDaBase };
+    const proprios = numero(git('rev-list', '--count', 'HEAD', '--not', ...conhecidas, shaBase));
+    return { proprios, pontoDePartida, semAncestral, baseReescrita, sairamDaBase };
 }
 /**
  * Sincroniza a branch da thread com a base ATUAL (rebase), quando a base avancou.
@@ -360,9 +370,25 @@ function sincronizarWorktree(carregado, id, opcoes = {}) {
             `${historia.proprios ?? 'um numero desconhecido de'} commit(s) proprio(s): o rebase reaplicaria a historia antiga inteira`;
         if (!opcoes.dryRun)
             (0, ledger_1.registrar)((0, thread_1.dirThread)(raiz, id), id, ledger_1.TIPOS_DE_EVENTO.worktreeSincronizada, { dir, branch, base, shaBase, shaAntes,
-                rebaseFeito: false, motivo: 'tree.blocked', semAncestral: true, detalhe });
+                rebaseFeito: false, motivo: 'tree.blocked', causa: 'base-reescrita', semAncestral: true, detalhe });
+        return { ...vazio, shaBase, shaAntes, shaDepois: shaAntes, ok: false, jaAtualizada: false, rebaseFeito: false,
+            motivo: 'tree.blocked', causa: 'base-reescrita', detalhe, correcao: `reaplique so os commits da thread sobre a base nova: ${onto}` };
+    }
+    // RM-037 (fatia 3, defeito 3): com ancestral comum, o sync caia no `git rebase <base>` abaixo e
+    // reaplicava tambem o que a reescrita tirou da base. O ponto de partida fora da base atual e o sinal.
+    if (historia.baseReescrita) {
+        const ponto = historia.pontoDePartida;
+        passos.push(`git merge-base --is-ancestor ${ponto.slice(0, 8)} ${shaBase.slice(0, 8)}   (falso: a base foi reescrita)`);
+        const detalhe = `a base ${base} foi reescrita: o ponto de partida ${ponto.slice(0, 8)} da branch ${branch} nao esta mais nela, ` +
+            `e o rebase comum reaplicaria ${historia.sairamDaBase ?? 'um numero desconhecido de'} commit(s) que sairam da base junto com ` +
+            `o(s) ${historia.proprios ?? '?'} da thread (git rev-list --count HEAD --not ${ponto.slice(0, 8)} ${shaBase.slice(0, 8)})`;
+        if (!opcoes.dryRun)
+            (0, ledger_1.registrar)((0, thread_1.dirThread)(raiz, id), id, ledger_1.TIPOS_DE_EVENTO.worktreeSincronizada, { dir, branch, base, shaBase, shaAntes,
+                rebaseFeito: false, motivo: 'tree.blocked', causa: 'base-reescrita', baseReescrita: true, pontoDePartida: ponto,
+                sairamDaBase: historia.sairamDaBase, proprios: historia.proprios, detalhe });
         return { ...vazio, shaBase, shaAntes, shaDepois: shaAntes, ok: false, jaAtualizada: false, rebaseFeito: false,
-            motivo: 'tree.blocked', detalhe, correcao: `reaplique so os commits da thread sobre a base nova: ${onto}` };
+            motivo: 'tree.blocked', causa: 'base-reescrita', detalhe,
+            correcao: `reaplique so os commits da thread sobre a base nova: git -C ${dir} rebase --onto ${shaBase} ${ponto}` };
     }
     if (opcoes.dryRun) {
         passos.push(`git rebase ${shaBase}`);

package/eval/casos/onboarding.json

@@ -29,7 +29,7 @@
       "assercoes": [
         {
           "tipo": "contem",
-          "valor": "Valores secretos ficam em",
+          "valor": "Valores secretos ficam no ambiente do",
           "porque": "Âncora operacional fora da tabela, removê-la precisa reprovar o corpus."
         },
         {

package/eval/fixtures/fx-pedido-colado/caso.json

@@ -0,0 +1,20 @@
+{
+  "id": "fx-pedido-colado",
+  "sobre": "Incidente de 01/10/2026 (RM-057): o pedido colado com autorização explícita segue sem parar",
+  "precisa": [
+    "git"
+  ],
+  "esperado": {
+    "simulado": true,
+    "modoDoPedido": "auto",
+    "semPausaDoModo": true,
+    "decisaoInformada": true,
+    "confirmoRecusado": "hitl.selecao.texto-livre",
+    "nadaGravadoNaRecusa": true,
+    "humanosNoPulse": 0,
+    "perguntasDeConducao": 0,
+    "tempoParadoMs": 0,
+    "adaptadoresComARegra": 4
+  },
+  "porque": "Na noite de 01 para 02/10 o condutor parou mais de 10 h pedindo um confirmo em texto livre a um pedido colado que já trazia a autorização. O canário prova, contra o código real, que o #Auto não pausa, a dúvida vira decisão informada, o confirmo em texto é recusado sem gravar nada, ninguém aparece esperando no pulse, o tempo parado é zero e os quatro adaptadores dizem a regra."
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@orkastery/cli",
-  "version": "0.5.0",
+  "version": "0.5.3",
   "description": "A software factory of AI agents that proves its work: parallel threads, verified results, and short decisions only when they matter.",
   "license": "MIT",
   "homepage": "https://github.com/orkastery/orkastery#readme",
@@ -65,12 +65,16 @@
   },
   "devDependencies": {
     "@types/node": "^22.10.2",
-    "markdownlint-cli2": "^0.23.3",
-    "typescript": "^5.9.2"
+    "markdownlint-cli2": "^0.22.1"
   },
   "dependencies": {
     "@modelcontextprotocol/sdk": "1.29.0",
+    "decode-named-character-reference": "1.3.0",
+    "micromark": "4.0.2",
+    "micromark-extension-gfm-table": "2.1.1",
+    "micromark-util-decode-numeric-character-reference": "2.0.2",
     "smol-toml": "1.8.0",
+    "typescript": "5.9.3",
     "zod": "3.25.76",
     "zod-to-json-schema": "3.25.2"
   }

package/references/definition-of-done.md

@@ -54,7 +54,7 @@ flowchart LR
 
 | # | Verificacao | Como se comprova |
 |---|---|---|
-| 16 | Existe MASTER log valido contra o contrato congelado `ork.master-log/v1`, com POSTMORTEM tipado, classes de falha do catalogo fixo, score inteiro de 0 a 5 e justificativa nao vazia. Uma entrega sem MASTER log nao aconteceu. | `ork master <thread> --score N --justificativa "<texto>"`. O comando recusa score fora da escala, score sem justificativa e classe fora do catalogo, e nao grava nada quando recusa. |
+| 16 | Existe MASTER log valido contra o contrato congelado `ork.master-log/v1`, com POSTMORTEM tipado, classes de falha do catalogo fixo, score inteiro de 0 a 5 e justificativa nao vazia. Uma entrega sem MASTER log nao aconteceu. | `ork master <thread> --score N --justificativa "<texto>" --por <quem>`. O comando recusa score fora da escala, score sem justificativa, score sem autoria humana em `--por` e classe fora do catalogo, e nao grava nada quando recusa. |
 
 ## Toda thread, no seu inicio
 

package/skills/README.md

@@ -18,7 +18,7 @@ faz, o nucleo vence, e a divergencia e defeito da skill.
 | phases | [go-implementation](phases/go-implementation/SKILL.md) | `ork worktree ensure`, `ork verify --baseline` |
 | phases | [check-quality](phases/check-quality/SKILL.md) | `ork verify`, `ork gate request` |
 | phases | [ship-release](phases/ship-release/SKILL.md) | `ork ship` |
-| phases | [master-metrics](phases/master-metrics/SKILL.md) | `ork master`, `ork master --aceitar-omissao` |
+| phases | [master-metrics](phases/master-metrics/SKILL.md) | `ork master`, `ork master <thread> --aceitar-omissao` |
 | reviewers | [code-reviewer](reviewers/code-reviewer/SKILL.md) | `references/code-review-axes.md` |
 | reviewers | [security-auditor](reviewers/security-auditor/SKILL.md) | `references/security-checklist.md` |
 | reviewers | [test-engineer](reviewers/test-engineer/SKILL.md) | `references/testing-patterns.md` |

package/skills/core/onboarding/SKILL.md

@@ -24,8 +24,9 @@ preservando as demais respostas. Exemplo de opt-out:
 `ork onboarding set maestro --conteudo '{"owner":{"experience":false}}' --por equipe`.
 Sem resposta, mantenha a pergunta pendente: defaults efetivos não são autoria humana.
 
-Peça somente referências de variáveis nas etapas sensíveis. Valores secretos ficam em
-`~/.hermes/.env`; não leia esse arquivo nem leve credenciais para conversa, onboarding ou ledger.
+Peça somente referências de variáveis nas etapas sensíveis. Valores secretos ficam no ambiente do
+processo ou no cofre do host (no Hermes, `~/.hermes/.env`); não os leia nem leve credenciais para
+conversa, onboarding ou ledger.
 Se o builder fornecer um segredo, não o repita: oriente a configuração local e registre apenas
 a referência pública aceita pelo núcleo.
 

package/skills/core/orkastery-bootstrap/SKILL.md

@@ -56,6 +56,7 @@ Prefira MCP no projeto fixado pelo servidor, sem outro root/cwd. No Claude com s
 | Demanda nova | `ork_thread_new(nome, modo)` | `ork thread new "<nome>" --mode <modo> --worktree auto` |
 | Despacho | `ork_phase_run(threadId, fase, prompt, runtime?, model?, effort?, dryRun?)` | `ork phase run <thread> GOAL --prompt "<pedido>"` |
 | Progresso nativo | `ork_observe(threadId)` | `ork thread status <thread>` |
+| Contexto do grafo (somente com `grafo.mcp: true`) | `ork_grafo_contexto(threadId, tetoBytes?)`; aprofundar com `ork_grafo_vizinhos`, `ork_grafo_chamadores`, `ork_grafo_importadores`, `ork_grafo_caminho` | `ork grafo contexto <thread> --json` |
 | Pendencia/decisao | `ork_hitl_pending`, `ork_request_decision(threadId, pedidoId)` | Consulte o ingresso suportado; nao fabrique resposta. |
 
 Prefira `ork_git_commit` (HEAD atual, paths com claims), `ork_verify` e `ork_ship` (HEADs fonte/destino reais) para registrar, verificar e entregar. Autoria/commit nao e SHIP; retorno incomplete exige reconciliacao antes de repetir. Para demandas novas, use `ork modos --do-pedido "<pedido do dono>"` e `ork_preflight({modo})` (CLI: `ork doctor --modo <modo>`). A sonda por bloco não comprova autenticação, gates ou entrega.
@@ -71,8 +72,7 @@ Dry-run nao inicia modelo, mas pode gravar prompt/eventos. Confira o trio efetiv
 
 ## Conducao durante o trabalho
 
-O modo afrouxa a pausa, NUNCA a verificacao. Claims, verify, policies e gates tipados
-rodam identicos em `#Classic` e em `#Auto`; o modo decide se o veredito espera o humano.
+O modo afrouxa a pausa, NUNCA a verificacao. Claims, verify, policies e gates tipados rodam identicos em `#Classic` e em `#Auto`; o modo decide se o veredito espera o humano.
 
 Depois de uma acao, use o resultado do nucleo para executar o proximo passo autorizado.
 Em #Auto/#Maestro, nao termine um bloco apenas oferecendo continuar quando ainda ha trabalho

package/skills/phases/master-metrics/SKILL.md

@@ -1,8 +1,8 @@
 ---
 name: master-metrics
-description: "Fase MASTER (F6): POSTMORTEM tipado, MASTER log no contrato congelado ork.master-log/v1 e o score humano de 0 a 5 com justificativa. Roteia para ork master e ork master --aceitar-omissao."
+description: "Fase MASTER (F6): POSTMORTEM tipado, MASTER log no contrato congelado ork.master-log/v1 e o score humano de 0 a 5 com justificativa. Roteia para ork master e ork master <thread> --aceitar-omissao."
 bucket: phases
-roteia: "ork master <thread> --score N --justificativa \"...\" | ork master --aceitar-omissao"
+roteia: "ork master <thread> --score N --justificativa \"...\" | ork master <thread> --aceitar-omissao"
 license: MIT
 ---
 
@@ -21,9 +21,14 @@ ork master classes                            # as classes de falha do catalogo
 ork master <thread> --score 4 --justificativa "<texto>" --classe base-avancou --por <quem>
 ork master                                    # as entregas, com o indice derivado do ledger
 ork master --todas                            # inclusive as ja pontuadas
-ork master --aceitar-omissao                  # aceita as entregues, com indice e insumos no ledger
+ork master <thread> --aceitar-omissao         # aceita so a entrega desta thread, com indice e insumos no ledger
+ork master --aceitar-omissao --dry-run        # lista o que a forma sem thread fecharia, sem gravar
 ```
 
+Agente fecha so a propria thread: `ork master <thread> --aceitar-omissao`. Sem a thread, o comando
+aceita TODAS as entregues do projeto, inclusive as de outras frentes paralelas (o que aconteceu tres
+vezes em 03/10/2026); de processo de agente com mais de uma, o `ork` avisa em stderr.
+
 ## O que o MASTER entrega
 
 1. **POSTMORTEM tipado**, com as fases percorridas, o que falhou e a classe de falha vinda de um

package/skills/phases/ship-release/SKILL.md

@@ -38,9 +38,12 @@ ork phase list <thread>                     # a prova: mergeSha, shaRemoto, push
 
 ## O que o nucleo verifica por voce
 
-A policy `push_direto_na_base` e bloqueante: origem igual ao destino, ou origem igual a branch base
-do projeto, reprova antes de o `ork` tocar no remoto. Arvore de destino ocupada sai como
-`tree.blocked`; lease tomado por outra thread sai como `lease.busy`.
+A policy `push_direto_na_base` e bloqueante: origem igual ao destino, origem igual a branch base
+do projeto, ou entrega sem delta com a base local a frente do remoto (o push publicaria commit que
+nao passou por merge de thread) reprova antes de o `ork` tocar no remoto. O merge que o proprio
+ship ja fez e nao chegou ao remoto (push recusado, `--sem-push`) nao conta: o ship repetido empurra.
+Arvore de destino ocupada sai como `tree.blocked`; lease tomado por outra thread sai como
+`lease.busy`.
 
 ## Racionalizacoes comuns